VBS w wiadomości

VBS w wiadomości to szkodliwy skrypt Visual Basic dołączony do e-maila, wykorzystywany do infekcji.

Środowisko uruchomieniowe i architektura skryptów systemowych

VBScript (Visual Basic Scripting Edition) to interpretowany język skryptowy opracowany przez firmę Microsoft, który jest natywnie obsługiwany przez systemy z rodziny Windows za pośrednictwem silnika Windows Script Host (WSH). Pliki o rozszerzeniach takich jak .vbs lub ich skompilowane, czy też zakodowane wersje z rozszerzeniem .vbe, po dwukrotnym kliknięciu przez użytkownika są domyślnie przekazywane do procesów systemowych. Odpowiadają za to pliki wykonywalne wscript.exe, obsługujący środowisko okienkowe, oraz cscript.exe, dedykowany do pracy w trybie tekstowym poziomu konsoli. W architekturze systemów klienckich, dystrybucja tego typu kodu za pośrednictwem poczty elektronicznej wymusza interakcję z użytkownikiem. Atakujący dołącza do wiadomości plik z kodem źródłowym, a uruchomienie go powoduje, że skrypt dziedziczy uprawnienia aktualnie zalogowanego konta. Jeżeli proces logowania przeprowadzono na koncie z uprawnieniami administracyjnymi, instrukcje VBS uzyskują nielimitowany dostęp do struktury partycji systemowej, gałęzi rejestru, interfejsów sieciowych oraz pamięci wirtualnej. Kod VBS występuje w postaci otwartego tekstu, co ułatwia jego analizę statyczną, jednak elastyczność środowiska WSH pozwala na instancjowanie złożonych obiektów COM (Component Object Model). Do powszechnie implementowanych obiektów należą WScript.Shell, używany do modyfikowania zmiennych środowiskowych i uruchamiania procesów zewnętrznych, oraz Scripting.FileSystemObject, który zarządza operacjami wejścia i wyjścia na poziomie plików fizycznych. Zdolność do natywnej komunikacji przez protokół HTTP, realizowana przez wywołania obiektów MSXML2.XMLHTTP, umożliwia pobieranie zewnętrznych strumieni danych bezpośrednio do pamięci procesu.

Wektory dostarczania kodu i techniki utrudniania analizy

Filtry antyspamowe bazujące na reputacji i skanery strumieniowe implementowane w bramach sieciowych rutynowo odrzucają wiadomości zawierające jawne pliki z rozszerzeniem .vbs. W odpowiedzi twórcy kodu wykorzystują kontenery kompresujące. Archiwa takie jak .zip, .rar czy .cab są zabezpieczane hasłem udostępnionym w treści wiadomości e-mail. Mechanizm ten zapobiega automatycznej dekompresji i analizie heurystycznej przez oprogramowanie brzegowe, przenosząc proces wykonania kodu w całości na lokalną stację roboczą. Inna implementacja opiera się na specyfice eksploratora plików Windows, który domyślnie nie wyświetla rozszerzeń znanych formatów. Nadanie nazwy w formacie "Dokument_kadrowy.pdf.vbs" sprawia, że interfejs graficzny prezentuje ciąg znaków zakończony na ".pdf", co indukuje błąd poznawczy u odbiorcy. Sam kod źródłowy skryptu implementującego procedury szkodliwe podlega obfuskacji. Proces ten transformuje logikę programu, zachowując jego wykonalność, ale spowalniając inżynierię wsteczną. Standardowe metody obejmują operacje na łańcuchach znaków: dynamiczne konkatenacje w czasie wykonywania, kodowanie parametrów ASCII przy pomocy funkcji Chr() oraz osadzanie instrukcji warunkowych w postaci tablic heksadecymalnych. Zdekodowany ciąg jest następnie poddawany ewaluacji przez funkcję Execute lub Eval. Ze względu na narzut pamięciowy i objętościowy, skrypty VBS z załączników rzadko zawierają pełną logikę złośliwą. Pełnią funkcję droppera lub downloadera, zoptymalizowanego pod kątem minimalnego rozmiaru. Kod taki otwiera gniazdo TCP, łączy się z serwerem dystrybucyjnym, inicjuje transfer binarnego pliku wykonywalnego, biblioteki dynamicznej .dll lub modułu PowerShell, po czym zapisuje zasób w katalogach tymczasowych użytkownika i uruchamia nowy proces potomny w celu wykonania finalnego ładunku.

Diagnostyka zmian systemowych i mechanizmy utrzymania dostępu

Po inicjalizacji interpretacji kodu złośliwego, środowisko Windows ulega modyfikacjom niewidocznym z poziomu powłoki użytkownika. Aby zminimalizować ryzyko wykrycia podczas początkowej fazy infekcji, skrypt działa asynchronicznie w tle, niekiedy generując standardowe okno dialogowe z komunikatem błędu odczytu pliku, co ma na celu uśpienie czujności ofiary. Głównym zadaniem kodu VBS na tym etapie jest zapewnienie przetrwania modyfikacji w środowisku pracy po restarcie stacji (persistence). Powszechnie stosowanym rozwiązaniem technicznym jest dodawanie wartości ciągu do kluczy rejestru systemowego, w szczególności w gałęziach HKCU\Software\Microsoft\Windows\CurrentVersion\Run, HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce lub w kluczach modyfikujących zachowanie autostartu eksploratora powłoki. Alternatywnie, skrypt tworzy nowe wpisy w Harmonogramie Zadań, wykorzystujące wyzwalacze zdarzeń powiązane z logowaniem konkretnego konta w domenie lub grupie roboczej. Pobrany z sieci ładunek realizuje właściwe operacje niszczące. Instancje oprogramowania ransomware przejmują cykle procesora do wykonywania algorytmów kryptograficznych, szyfrując sektory dysku logicznego z dokumentami i nadpisując tablice alokacji plików. Infostealery enumerują lokalne bazy danych przeglądarek bazujące na silniku SQLite w celu eksfiltracji tokenów sesyjnych, haseł tekstowych i kluczy prywatnych zapisanych w lokalnych portfelach kryptowalutowych. Z kolei moduły propagacji sieciowej inicjują skanowanie portów w segmencie sieci lokalnej w celu identyfikacji stacji roboczych podatnych na exploity protokołu SMB, wstrzykując szkodliwe instrukcje prosto do przestrzeni adresowej legalnych procesów systemowych.

Procedury weryfikacji sprzętowej i odtwarzanie partycji startowych

W kontekście ewolucji mechanizmów zabezpieczeń, zgłoszenia sprzętu zainfekowanego poprzez bezpośrednie uruchomienie skryptów VBS z poczty należą obecnie do rzadkości. Implementacja reguł Mark of the Web (MotW), domyślne blokowanie wykonywania zewnętrznych skryptów przez wbudowane filtry systemowe oraz polisy restrykcji oprogramowania zmniejszają wektor ataku oparty wyłącznie na tym języku. Kiedy jednak nastąpi udane wykonanie kodu i pełne wdrożenie ładunku binarnego, usunięcie początkowego pliku .vbs jest krokiem technicznym o zerowym znaczeniu diagnostycznym. Złożone oprogramowanie szkodliwe implementuje modyfikacje w warstwie sterowników, omijając detekcję skanerów działających w przestrzeni użytkownika. Wymusza to konieczność pełnej reinstalacji systemu operacyjnego z wykorzystaniem zewnętrznych, uprzednio zweryfikowanych nośników, co musi zostać poprzedzone sprzętowym wyzerowaniem układu partycji na dysku. Warszawskie Pogotowie Komputerowe realizuje procesy przywracania sprzętu po infekcjach strukturalnych, skupiając się na środowiskach maszyn klienckich. Prace obejmują formatowanie niskopoziomowe nośników SSD i HDD, weryfikację sum kontrolnych układów kości BIOS/UEFI w przypadku podejrzeń ingerencji w oprogramowanie układowe oraz rekonfigurację bazową systemu. Realizowany jest także podstawowy odzysk danych z fizycznych nośników pamięci (pendrive, dyski magnetyczne 2.5 cala, nośniki półprzewodnikowe M.2), pod warunkiem że macierz danych nie uległa pełnej konwersji algorytmicznej przez moduł ransomware. W przypadkach, gdy zdezorientowany użytkownik próbował przerwać infekcję poprzez gwałtowne odłączenie napięcia zasilającego z sieci, często dochodzi do fizycznych uszkodzeń elektroniki wywołanych skokami napięcia na cewkach zasilania. W takich scenariuszach serwis wykonuje analizę pomiarową i wymienia przepalone podzespoły, takie jak same dyski, układy zasilania na płytach głównych czy moduły pamięci RAM. Profil działalności obejmuje wyłącznie kompleksową, fizyczną naprawę laptopów i komputerów stacjonarnych, a także wymianę zużytych elementów mechanicznych i optycznych: od wymiany klawiatur, przez montaż nowych matryc, aż po precyzyjne diagnozy i lutowanie ścieżek bezpośrednio na laminacie płyty głównej.